Microsoft Office Excel: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft Excel, Teil der Office-Suite, erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk die Ausführung von Code. Gemäss CVSS-Vektor benötigt der Angriff keine Berechtigungen, erfordert jedoch eine Benutzerinteraktion, etwa das Öffnen einer manipulierten Datei aus E-Mail oder Dateifreigabe. Die betroffenen Versionen unterscheiden sich je nach Office-Edition, darunter Microsoft 365 Apps, LTSC-Versionen und Mac-Versionen, und auch Office Online Server könnte betroffen sein.

Betroffen

• Microsoft 365 Apps for Enterprise (Windows): 16.0.1 vor dem im Verweis https://aka.ms/OfficeSecurityReleases genannten Build (genauer Build im Eintrag nicht angegeben)
• Microsoft Office 365 für Mac: 1.0.0 vor 16.115.26110837
• Microsoft Office LTSC 2021: 16.0.1 vor 16.0.14334.21048
• Microsoft Office LTSC 2024: 16.0.0 vor 16.0.17932.21140 (unbestätigt, aus Drittquelle)
• Microsoft Office LTSC für Mac 2021 und 2024: Versionen vor 16.115.26110837 (unbestätigt)
• Microsoft Office Online Server: 16.0.0.0 vor 16.0.10417.20236 (unbestätigt)

Behoben in

• Sicherheitsupdates von Microsoft für das Office-Release vom November 2026. Genaue Build-Nummern vor dem Rollout auf https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118701 prüfen.
• Office 365 für Mac: 16.115.26110837 oder neuer
• Office LTSC 2021: 16.0.14334.21048 oder neuer
• Office LTSC 2024: 16.0.17932.21140 oder neuer (unbestätigt)

Umgehung

Unbekannt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht gegen CISA KEV geprüft.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Office-Sicherheitsupdates vom November 2026 auf allen Excel-Clients einspielen, zuerst in Mail- und Dateifreigabe-Workflows mit Exposition.
• Office-Online-Server-Builds prüfen, falls im Einsatz.
• Build-Nummern vor dem Rollout mit dem MSRC-Advisory abgleichen.
• Benutzer schulen, unerwartete Excel-Dateien von unbekannten Absendern nicht zu öffnen.
• Auf ungewöhnliche Excel-Prozessaktivität achten und den KEV-Status erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• VulDB entry vuldb.com
• Stefan Gossner blog: November 2026 SharePoint PU fixes blog.stefan-gossner.com
• Strix AI CVE-2026-118701 www.strix.ai
• threatint CVE-2026-118701 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:01.